依存関係混同攻撃とは？いぞんかんけいこんどうこうげき
依存関係混同攻撃とは、社内でしか存在しないはずのパッケージ名を公開リポジトリに登録し、パッケージ管理ツールが公開側を優先して取り込むよう仕向ける供給網攻撃。バージョン番号を極端に大きくして「新しい方」を選ばせる手口が典型で、ビルド時に攻撃者のコードが実行される。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →具体例
社内ライブラリ名が設定ファイルや公開リポジトリの痕跡から知られ、同名パッケージが公開レジストリへ登録される。対策として、社内名前空間（スコープ）を予約し、解決先レジストリを社内ミラーに固定して公開側へのフォールバックを禁止する。
試験での引っ掛け
脆弱性ではなく名前解決の優先順位という設計の隙を突くため、ライブラリを最新に保っても防げない。またタイプミスを狙う類似名の登録とは別物で、こちらは正しい名前を打っても発生する点が厄介。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。